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(57) Abstract: The invention relates to a method for automatically classifying a set of alarms emitted by intrusion detecting sensors 
(11a, lib, 11c) of an information security system (1) for producing synthetic alarms, wherein each alarm is defined by a plurality 
of qualitative attributes (a 1? ,a„) allocated to a plurality of attribute ranges (Al, ,A„) consisting in organising the attributes allocated 
to each attribute range in to a multilevel hierarchical structure, constructing for each alarm emitted by intrusion detecting sensors 
(11a, lib, 11c) a grating intrinsic to said alarm by generalising each alarm according to each attribute thereof and to all levels of 
the hierarchical structure, iteratively merging each intrinsic grating in a general grating, identifying, in a general grating, synthetic 
alarms by selecting the alarms which are simultaneously the most relevant and most general and in transmitting said synthetic alarms 
to the output unit (23) of an alarm managing system (13). 



^| (57) Abrege : L'invention concerne un proc6de" de classification automatique d'un ensemble d'alertes issues de sondes de detection 
d'intrusions (11a, lib, 11c) d'un systeme de s6curite* d'information (1) pour produire des alertes synthetiques, chaque alerte 6tant 
O dSfinie par une pluralite d'attributs qualitatifs 
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(al,...,an appartenant a une plurality de domaines d'attributs (Al,...,An) cornportant les etapes suivantes : -organiser les attributs 
appartenant a chaque domaine d'attribut en une structure hierarchique cornportant plusieurs niveaux ; -construire pour chaque alerte 
issue des sondes de detection d'intrusions (11a, 1 lb, 1 lc), un treillis propre a cette alerte en gSneralisant chaque alerte selon chacun 
de ses attributs et a tous les niveaux de la structure hierarchique ; -fusionner de facon iterative dans un treillis general, chacun des 
treillis propres ; -identifier dans le treillis g6neral, les alertes synthStiques en selectionnant les alertes qui sont a la fois les plus 
pertinentes et les plus generates ; et -produire les alertes synth^tiques a une unite de sortie (23) d'un systeme de gestion d'alertes (13). 



